Eine Gruppe, die fast 4.000 BTC aus dem Liquid-Netzwerk von Blockstream abgezogen hatte, gab 3.400 BTC zurück, behielt etwa 598,5 BTC ein, forderte eine Prämie von 10 % und warnte, dass L-BTC-Inhabern ein Verlust von 15 % drohen könnte. Nun hat Blockstream mit einem ungewöhnlich direkten Ultimatum geantwortet: Das Unternehmen wird nicht zahlen. Es bezeichnet die Entnahme der Bitcoins als Diebstahl und nicht als „White-Hat“-Sicherheitsforschung und hat damit gedroht, Strafverfolgungsbehörden, Börsen und Blockchain-Ermittler einzuschalten, sollten die verbleibenden Gelder nicht zurückgegeben werden.
'Gebt die Bitcoins zurück': Blockstream zieht nach Hack mit 4.000 BTC eine klare Grenze
GESCHRIEBEN VON
TEILEN
Das Wichtigste im Überblick
- Blockstream lehnte eine Forderung nach einer 10-prozentigen Prämie ab, während die Hacker weiterhin rund 598,5 BTC in ihrem Besitz haben.
- Die Angreifer von Liquid haben 3.400 BTC zurückgegeben, nachdem sie am 6. September fast 4.000 BTC abgezogen hatten.
- Blockstream erklärt, dass Strafverfolgungsbehörden und Börsen sich der Jagd nach den verbleibenden 598,5 BTC anschließen könnten.
Fast 4.000 BTC sind noch übrig, aber der größte Teil davon kam zurück
Die ganze Geschichte begann am 6. September mit einem Vorfall, der schon an sich seltsam genug klang: Fast 4.000 BTC verschwanden aus den mit dem Liquid-Netzwerk von Blockstream verbundenen Reserven, und die Verantwortlichen verkündeten sofort auf der Bitcoin-Blockchain, dass sie „Whitehats“ seien. Dann wurde die Sache noch seltsamer.
Die Gruppe begann, mit Blockstream über winzige Bitcoin-Transaktionen mit OP_RETURN-Nachrichten zu kommunizieren, wodurch die Blockchain praktisch zu einem öffentlichen Message-Board wurde. Nach einer Reihe öffentlicher und verschlüsselter Nachrichtenaustausche gab die Gruppe 3.400 BTC zurück.
Doch rund 598,5 BTC blieben zurück. An dieser Stelle geriet die Geschichte völlig aus den Fugen.
Eine 10-prozentige Prämie wird zum Ultimatum
Anstatt einfach den Rest zurückzugeben, forderte die Gruppe, dass Blockstream eine Prämie von 10 % aus eigenen Mitteln zahlen solle. Sie warnte zudem, dass eine Ablehnung der Forderung für Liquid-Inhaber einen Verlust von 15 % zur Folge haben könnte. Es wurde zunehmend schwieriger, dies noch als gewöhnliche Offenlegung einer Sicherheitslücke zu bezeichnen.
White-Hat-Forscher identifizieren in der Regel Sicherheitslücken, melden diese und verhandeln über etablierte Kanäle eine Vergütung aus. In diesem Fall wurden fast 600 BTC zurückgehalten, während eine Zahlung gefordert wurde. Blockstream hat nun deutlich gemacht, dass es diesen Unterschied ganz anders sieht.
„Blockstream wird kein Lösegeld für die Rückgabe gestohlener Gelder zahlen“, betonte das Unternehmen am 11. September auf X. „Die unbefugte Entwendung von Vermögenswerten und die Verweigerung ihrer Rückgabe ist eine Straftat, keine verantwortungsvolle Offenlegung.“
Blockstream: Bitcoin-Inhaber werden nicht auf die Kosten aufkommen
Das Unternehmen wies zudem die Vorstellung zurück, dass Liquid-Nutzer Verluste tragen sollten, um der Forderung nachzukommen. „Bitcoin ist Hartgeld und kann nicht ohne Kosten geschöpft werden; Bitcoin bürdet den Nutzern keine Verluste auf, um ein Lösegeld zu zahlen“, schrieb Blockstream. Diese Aussage trifft den finanziellen Kern des Streits. Letztendlich muss jemand für die fast 600 BTC aufkommen, die nicht zurückgegeben wurden. Blockstream vertritt den Standpunkt, dass die Nutzer eine Auszahlung an die Personen, die das Geld entwendet haben, nicht effektiv finanzieren sollten. Das Unternehmen erklärte, seine früheren Verhandlungen seien in gutem Glauben geführt worden, um die Gelder der Nutzer zurückzuerhalten, und nicht, weil es die Bedingungen der Hacker akzeptiert habe.
Sicherheitswarnungen sorgen für eine weitere Wendung
Eine weitere Komplikation überschattet die Angelegenheit. Calle, Co-Leiter des Bitcoin Red Teams, behauptete, seine Gruppe habe Blockstream bereits vor dem Angriff vor der Sicherheitslücke gewarnt, und witzelte, es habe offenbar „600 BTC gekostet, eine E-Mail des Red Teams zu ignorieren“.
Der ehemalige Chief Security Officer von Blockstream, Samson Mow, widersprach dem und erklärte, es seien keine E-Mails ignoriert worden. Die widersprüchlichen Darstellungen konnten noch nicht vollständig in Einklang gebracht werden, und das Bitcoin Red Team hat angekündigt, eine eigene Darstellung des Offenlegungsprozesses zu veröffentlichen, sobald Blockstream einen Nachbericht veröffentlicht hat.
Blockstream muss sich also nun mit zwei Streitpunkten gleichzeitig auseinandersetzen: Was vor dem Exploit geschah und was danach mit den Bitcoins geschehen soll. Abgesehen vom Verlust von fast 600 BTC muss sich das Unternehmen auch mit den Reputationsschäden aus der gesamten Episode auseinandersetzen, die sich rasch zu einem PR-Desaster entwickelt hat.
„Wer schlechten Code schreibt, bekommt große Probleme“, schrieb ein X-Nutzer als Antwort auf die jüngste Forderung von Blockstream. „Bitcoin ist von Grund auf genehmigungsfrei. Jammert jetzt nicht bei den Behörden, nachdem ihr es mit schlechtem Code vermasselt habt“, fügte der Account hinzu. „Blockstream schießt sich selbst ins Bein, indem es den Typen hinterrücks ersticht, der ihnen 3.400 BTC gegeben hat“, schrieb ein anderer X-Account. Die Person fügte hinzu:
„Wenn Liquid das nächste Mal leergeräumt wird, werden sie 100 % der Coins behalten. Seid nicht so geizig und übernehmt Verantwortung für euren Scheiß.“
Blockstream droht mit einer viel größeren Jagd
Die jüngste Mitteilung von Blockstream lässt hinsichtlich der zweiten Frage kaum Zweifel offen.
Sollten die Gelder nicht zurückgegeben werden, plant das Unternehmen nach eigenen Angaben, mit Strafverfolgungsbehörden, Börsen, Dienstleistern, Forensik-Spezialisten und anderen zusammenzuarbeiten, um die Bitcoins aufzuspüren und die Verantwortlichen zu identifizieren. Das Unternehmen wies zudem auf ein für jeden, der versucht, fast 600 BTC verschwinden zu lassen, unvorteilhaftes Merkmal hin: Bitcoin-Transaktionen hinterlassen eine dauerhafte, öffentliche Spur.
Für eine Gruppe, die sich ursprünglich als „White Hat“ bezeichnete, hat sich die Situation weit von einem einfachen Fehlerbericht entfernt. Fast 4.000 BTC sind verschwunden. Die meisten kamen zurück. Hunderte von Bitcoin blieben verschwunden. Und Blockstreams Antwort auf die verbleibende Forderung besteht nun aus vier Worten:
„Gebt die Bitcoins zurück.“
Dieser Artikel wurde mithilfe von KI aus dem Englischen übersetzt. Die englische Originalversion ist die maßgebliche Quelle; automatische Übersetzungen können Ungenauigkeiten enthalten, insbesondere bei rechtlicher und regulatorischer Terminologie.
